Subencargados del tratamiento

La clínica es responsable del tratamiento; ClinicSmart actúa como encargado del tratamiento por cuenta de la clínica (art. 28 RGPD). Algunos de estos proveedores tratan categorías especiales de datos (datos de salud — síntomas, motivo de consulta y notas clínicas — art. 9 RGPD), tal como se señala en «Datos que trata».

Proveedores

• Supabase

  Ubicación

  Fráncfort, Alemania (UE)

  Finalidad

  Base de datos, almacenamiento de documentos y autenticación

  Datos que trata

  Todos los datos de paciente (incluye categoría especial: notas clínicas / datos de salud, art. 9 RGPD)

  Base de transferencia

  Alojamiento: dentro de la Unión Europea (no es transferencia internacional). Entidad importadora y su cadena de soporte (Singapur): cláusulas contractuales tipo (SCCs, EU 2021/914) del DPA del proveedor.

• Railway

  Ubicación

  Ámsterdam, Países Bajos (UE)

  Finalidad

  Hosting y cómputo de la aplicación

  Datos que trata

  Todos los datos en tránsito

  Base de transferencia

  Tratamiento dentro de la Unión Europea

• Telnyx

  Ubicación

  Frankfurt, Alemania (anclaje de media en la UE) + EE.UU. (procesamiento primario y CDR/metadatos de llamada)

  Finalidad

  Telefonía de voz (SIP trunking)

  Datos que trata

  Audio de las llamadas (en tránsito; grabación de llamada NO habilitada → no se almacena audio), números de teléfono y metadatos de llamada (CDR)

  Base de transferencia

  Cláusulas contractuales tipo (SCCs, EU 2021/914) / UK IDTA

• OpenAI

  Ubicación

  Estados Unidos

  Finalidad

  Modelo de lenguaje (interpreta mensajes y transcripciones)

  Datos que trata

  Mensajes, transcripciones y síntomas relatados (incluye datos de salud — categoría especial, art. 9 RGPD)

  Base de transferencia

  Cláusulas contractuales tipo (SCCs), vía OpenAI Ireland Ltd; DPF solo si figura Active en la lista oficial (verificar)

• Retell AI

  Ubicación

  Estados Unidos

  Finalidad

  Orquestación de llamadas de voz (transcripción y diálogo)

  Datos que trata

  Audio de las llamadas (en tránsito). NO se almacena audio/transcripción: data_storage_setting="basic_attributes_only" (verificado vía API, jun-2026) + redacción de PII post-llamada. El LLM corre en infra de ClinicSmart (custom LLM/webhook), NO en Retell. Subencargados de voz aguas abajo (EE.UU.): STT = Deepgram (90%) + Soniox (10%) (modo "accurate"); TTS = Cartesia (voces clonadas custom: "Marta"/España, "Ximena"/México).

  Base de transferencia

  Cláusulas contractuales tipo (SCCs, EU 2021/914), Módulo 2+3 (deemed-signed) — Retell NO está certificada en el EU-US DPF

• Meta Platforms

  Ubicación

  Estados Unidos / global

  Finalidad

  Mensajería WhatsApp (WhatsApp Cloud API)

  Datos que trata

  Nombre, teléfono y contenido de los mensajes

  Base de transferencia

  Cláusulas contractuales tipo (SCCs) + EU Data Transfer Addendum; DPF solo si figura Active (verificar)

• Resend

  Ubicación

  Estados Unidos

  Finalidad

  Envío de correos de aviso al personal de la clínica

  Datos que trata

  Correo del personal de la clínica y tipo de aviso genérico (SIN datos de paciente; el email enlaza al panel)

  Base de transferencia

  Cláusulas contractuales tipo (SCCs, EU 2021/914) Módulo 2, en el anexo de su DPA. No trata datos de paciente.

• Verifacti

  Ubicación

  España (UE)

  Finalidad

  Registro de facturas en la AEAT (sistema antifraude Verifactu)

  Datos que trata

  Datos fiscales del paciente en facturas nominativas (NIF/NIE, nombre, dirección fiscal) + líneas de factura

  Base de transferencia

  Tratamiento dentro de la Unión Europea

Subencargados ulteriores

Algunos de estos proveedores recurren a su vez a otros subencargados (subencargados ulteriores) para prestar su servicio. En particular, el proveedor de voz emplea servicios de transcripción (conversión de voz a texto) y de síntesis de voz, ubicados en EE.UU. Estos subencargados ulteriores quedan sujetos, por traslado contractual de obligaciones (flow-down), a las mismas obligaciones de protección de datos exigidas al subencargado principal (art. 28.4 RGPD).

Transferencias internacionales

Las transferencias a países fuera del Espacio Económico Europeo se realizan con una de las dos bases que el RGPD reconoce, según el proveedor:

• Decisión de adecuación (art. 45 RGPD). Cuando el importador en EE.UU. está certificado y figura como «Active» en el EU-US Data Privacy Framework (decisión de adecuación de la Comisión de 10 de julio de 2023), la transferencia se ampara en el art. 45 —igual que un envío a un país con nivel de protección adecuado— sin necesidad de cláusulas contractuales tipo. Es el caso de los proveedores estadounidenses certificados-activos en el DPF.
• Cláusulas contractuales tipo (art. 46.2.c RGPD, Decisión UE 2021/914). Para los importadores estadounidenses que NO están certificados en el DPF (o cuya certificación no cubra la categoría de datos transferida) —p. ej. el proveedor de voz Retell—, y para la entidad importadora de la base de datos y su soporte (Supabase, en Singapur), la transferencia se ampara en las SCCs, acompañadas de la correspondiente evaluación de impacto de la transferencia y medidas suplementarias cuando proceda.

La base concreta de cada proveedor figura en «Base de transferencia», en la lista anterior. Las SCCs se mantienen además como garantía de respaldo para los proveedores amparados en el DPF, por si dejara de estar vigente. Puede solicitar copia de las garantías aplicables escribiendo a privacidad@clinicsmart.es.

Actualización de la lista y oposición

Esta lista puede actualizarse al incorporar o sustituir proveedores. Notificaremos a la clínica responsable cualquier alta o sustitución de subencargado con una antelación razonable antes de que sea efectiva, de modo que pueda oponerse conforme a la cláusula correspondiente del DPA (art. 28.2 RGPD). Los cambios se reflejan aquí junto a su número de versión y fecha de actualización.

Encargado del tratamiento y contacto

Encargado del tratamiento: ClinicSmart. Contacto de protección de datos del encargado: Carlos del Fresno Canales — privacidad@clinicsmart.es.

El contacto de protección de datos de ClinicSmart corresponde al encargado del tratamiento. El paciente ejerce sus derechos (acceso, rectificación, supresión, oposición, etc.) ante su clínica, que es la responsable del tratamiento.